Deux marchands français ont vu leur notification de violation de données rendue publique le 29 août 2026, et les deux mettent en cause un outil d’analyse. Easypara désigne Shipp, le prestataire qui envoie pour son compte les communications de suivi de livraison. L’origine de l’incident est, selon le marchand, une vulnérabilité jusqu’alors inconnue affectant Metabase, l’outil d’analyse employé par ce prestataire. Frères Toque, le même jour, évoque « un outil externe utilisé pour l’analyse de ses données », sans nommer ni la solution, ni un prestataire. Les deux notifications écartent les données bancaires, dans des termes différents. Easypara indique qu’« aucune donnée bancaire n’est concernée », Frères Toque qu’« aucune information bancaire, aucun identifiant de connexion et aucun mot de passe n’ont été compromis ».
Chez Easypara, un prestataire entre l’acheteur et la faille
La chaîne mise en cause chez Easypara compte trois maillons. Le marchand collecte les coordonnées au moment de la commande. Le prestataire de notifications, chargé des messages de suivi, reçoit pour cela le nom, le prénom, l’adresse électronique et, lorsqu’il a été renseigné, le numéro de téléphone, avec le contexte de livraison de la commande. L’outil d’analyse employé par ce prestataire sert à interroger ces données. La faille se trouve dans cet outil, elle est exploitée chez le prestataire, et elle expose les clients du marchand. Frères Toque ne décrit aucun intermédiaire de ce genre, et sa notification énumère d’autres catégories de données, dont l’historique des commandes et l’adresse postale.
L’acheteur d’Easypara n’a contracté ni avec Shipp, ni avec l’éditeur de Metabase. Au sens du RGPD, le marchand demeure responsable de traitement et répond de la fuite devant ses clients, tandis que Shipp est son sous-traitant au titre de l’article 28. Metabase n’ajoute pas un maillon à cette chaîne contractuelle, puisqu’il s’agit d’un logiciel d’analyse employé par Shipp, et la faille se situe dans ce logiciel. Le prestataire de services de paiement du marchand n’apparaît nulle part dans la chaîne, ce qui explique l’absence de données de carte parmi les informations exposées.
Une injection SQL sur la page d’oubli de mot de passe
L’injection SQL consiste à glisser, dans un champ destiné à recevoir une valeur, une portion de requête que la base exécute comme du code. La vulnérabilité Metabase, référencée CVE-2026-72898 par The Hacker News, porte sur l’endpoint /api/session/reset_password. Cet endpoint reste joignable sans authentification par construction, puisqu’il sert à celui qui ne peut plus se connecter. L’attaquant y injecte du SQL et obtient un accès administrateur sans jamais présenter d’identifiant, ce qui vaut à la faille une note CVSS de 10 sur 10.
Le calendrier situe la mesure de l’événement. Le cabinet Wiz compte environ 2 500 instances Metabase joignables depuis internet, sur les 13 % d’environnements cloud où l’outil est auto-hébergé et dont un quart reste entièrement exposé. La donnée qui manque aux deux notifications françaises reste le nombre de personnes concernées.
La valeur marchande d’un historique de commandes
L’historique des commandes figure parmi les catégories de données que Frères Toque déclare exposées. Un historique d’achat authentique associé à un numéro de téléphone alimente deux montages de fraude au virement autorisé. Le premier est le faux remboursement. L’appelant se présente comme le service client du marchand, cite la commande exacte avec sa date et son montant, annonce un incident de livraison, puis propose un remboursement qui suppose quelques gestes dans l’application bancaire. Ces gestes émettent un virement vers un compte contrôlé par le fraudeur.
Le second montage est le faux avis de livraison. Un message annonce des frais de douane ou de réexpédition pour un colis réellement attendu, avec un lien de paiement. Le rendement de ces campagnes tient à la concordance entre le message et l’attente du destinataire, qui sait qu’un colis arrive parce qu’il l’a commandé. Le vol des données de suivi fournit cette concordance.
| Donnée de paiement carte | Coordonnées et historique de commande | |
|---|---|---|
| Révocabilité | Un numéro de carte CB CB se met en opposition, la carte se réémet en quelques jours. | Un nom, un téléphone et une commande passée ne se révoquent pas. |
| Durée d’utilité | Jusqu’à l’opposition, quelques heures à quelques jours. | Plusieurs mois, la crédibilité décroissant avec l’ancienneté de la commande. |
| Voie de fraude | Opération non autorisée, exécutée sans le porteur. | Opération autorisée, déclenchée par le client convaincu. |
| Recours du client | Remboursement de l’opération non autorisée, article L. 133-18 du code monétaire et financier. | Aucun régime général de remboursement, l’opération ayant été consentie. |
Le cadre français applicable
Le RGPD impose au responsable de traitement de notifier la violation à l’autorité de contrôle dans les soixante-douze heures, au titre de l’article 33. L’article 34 lui impose d’informer les personnes concernées lorsque le risque pour leurs droits et libertés est élevé. Frères Toque a saisi la CNIL. La notification d’Easypara relayée le 29 août ne mentionne pas de saisine.
Le droit français du paiement sépare les deux situations décrites plus haut. Une opération non autorisée ouvre droit au remboursement par le prestataire de services de paiement, selon l’article L. 133-18 du code monétaire et financier. Un virement que le client a lui-même consenti, même sous l’effet d’une manœuvre, ne relève pas de ce régime. Depuis le 9 octobre 2025, le règlement (UE) 2024/886 impose la vérification du bénéficiaire, qui compare le nom saisi par le payeur à celui du titulaire du compte et signale l’écart sans bloquer le virement.